# DORA et votre fournisseur d'IA : ce que demande l'article 30

URL: https://munito.ai/fr/solutions/dora

Ce que l'article 30 de DORA exige d'un contrat TIC, et où se trouve chaque réponse : les lieux, le DPA, les sous-traitants, la sortie. Les poids ouverts réduisent le risque de concentration.

## DORA interroge le contrat, pas le modèle

Depuis janvier 2025, une entité financière européenne doit tenir ses accords avec ses prestataires tiers de services TIC au niveau du [règlement (UE) 2022/2554](https://eur-lex.europa.eu/eli/reg/2022/2554/oj/fra). Un fournisseur d'IA est l'un de ces accords, et les questions de votre équipe des risques arrivent bien avant celles sur la qualité du modèle.

Cette page indique ce que DORA exige d'un tel contrat et ce que Munito AI fournit aujourd'hui. Nous sommes votre prestataire tiers de services TIC ; l'entité réglementée, c'est vous, et les obligations vous reviennent. Rien ici ne constitue un conseil juridique.

## Ce que demande l'article 30, et où nous répondons

L'[article 30](https://eur-lex.europa.eu/eli/reg/2022/2554/oj/fra#art_30) énumère ce que tout contrat TIC doit prévoir. Lisez-le avec votre conseil ; voici où se trouve chaque réponse de notre côté.

| L'article 30 demande                                       | Où se trouve notre réponse                                               |
| ---------------------------------------------------------- | ------------------------------------------------------------------------- |
| Une description claire du service                          | [Modèles et prix](https://docs.munito.ai/models) et le bon de commande      |
| Les lieux de prestation et de traitement des données       | [Régions](https://docs.munito.ai/regions) et l'en-tête `munito-region` de chaque réponse |
| Les clauses de protection des données                      | [Le DPA](https://legal.munito.ai/dpa), qui fait partie des conditions       |
| La sous-traitance, et le préavis avant un changement       | [La liste des sous-traitants](https://trust.munito.ai/subprocessors), par région, avec le préavis dans le DPA |
| Les droits d'accès, d'inspection et d'audit                | Le contrat ; nos ingénieurs répondent directement à votre équipe des risques |
| L'assistance en cas d'incident, sans coût supplémentaire   | Les conditions de support de votre offre                                    |
| Les droits de résiliation et une stratégie de sortie       | Le contrat, et la portabilité ci-dessous                                    |
| La description et les objectifs de niveau de service       | Le bon de commande d'un contrat d'engagement de dépense                    |

## La région, prouvée en un appel

Une requête vers `https://api.eu.munito.ai` s'exécute dans l'UE, et la réponse le dit dans l'en-tête `munito-region`. Votre espace de travail stocke le contenu dans une seule région de données, UE ou États-Unis, fixée à l'inscription.

C'est une réponse que votre équipe peut tester au lieu de la croire, et dans un registre d'information cela vaut plus que n'importe quel paragraphe.

## Le risque de concentration plaide pour les poids ouverts

DORA vous oblige à penser à la défaillance ou au départ d'un prestataire. Un modèle fermé est le cas difficile : les poids ne vous appartiennent pas, personne d'autre ne les sert, et une sortie est une réécriture.

Les poids ouverts inversent cela. Le même modèle tourne chez un autre fournisseur, sur vos propres GPU ou sur site, derrière la même API au format OpenAI ou Anthropic. Votre stratégie de sortie tient dans une URL de base et une décision de capacité, et vous pouvez la répéter.

| Situation                             | Avec un modèle fermé            | Avec des poids ouverts chez Munito AI    |
| ------------------------------------- | ------------------------------- | ----------------------------------------- |
| Le fournisseur augmente ses prix      | Renégocier ou réécrire          | Déplacer le modèle, garder le code         |
| Le fournisseur défaille               | La capacité s'arrête            | Faire tourner les mêmes poids ailleurs     |
| Le régulateur demande un test de sortie | Difficile à répéter           | Pointer une URL de base vers un second déploiement |

## Registre d'information

Votre registre a besoin de l'entité juridique, de la fonction soutenue, des lieux, et de savoir si le service soutient une fonction critique ou importante. Munito AI France, une SAS française à Paris, est l'entité contractante et celle que nomme le DPA. La liste des sous-traitants donne la chaîne par région, et [Régions](https://docs.munito.ai/regions) donne les lieux de traitement et de stockage.

Déterminer si la fonction est critique ou importante relève de votre évaluation, pas de la nôtre, et cela change ce que le contrat doit contenir.

## Ce que nous n'avons pas encore

Notre audit SOC 2 et notre certification ISO 27001 sont en cours. Ni l'un ni l'autre n'est terminé, et nous ne laisserons pas entendre le contraire dans une réponse à appel d'offres.

Nous ne sommes pas désignés prestataire tiers critique de services TIC ; cette désignation appartient aux autorités européennes de surveillance et vise un petit nombre d'entreprises. Si votre évaluation nous place dans une fonction critique, dites-le tôt, car cela change les clauses dont vous avez besoin de notre part.

## Commencer

- [Rassembler les documents de la revue](https://munito.ai/security-review)
- [Voir les usages d'une banque](https://munito.ai/solutions/fintech)
- [Lire le DPA](https://legal.munito.ai/dpa)
- [Parler à un ingénieur](https://munito.ai/contact) de votre registre, de votre évaluation et de votre stratégie de sortie